如何判断数据库是否有外部访问请求？

要判断数据库是否被访问,需从主动监控、被动审计、工具辅助三个维度系统排查，以下是具体方法和步骤：

实时监控数据库连接状态

通过数据库自带的管理工具或命令行,可直观查看当前活跃连接，快速定位“谁在访问”。

MySQL/MariaDB

使用 SHOW PROCESSLIST; 命令，输出包含 线程ID、用户名、主机IP、执行语句、时间 等信息，若某条记录的 Command 为 “Query” 且 Time 持续增长，说明正在执行查询操作；若 State 显示 “Waiting for lock”，则可能是阻塞访问。

PostgreSQL

执行 x auto（扩展显示）后运行 SELECT * FROM pg_stat_activity;，重点关注 datname（数据库名）、usename（用户）、client_addr（客户端IP）、query（SQL语句），若 state 为 “active”，代表连接处于活跃状态。

SQL Server

通过 SSMS 或 T-SQL 查看：

• 活跃会话：SELECT * FROM sys.dm_exec_sessions WHERE is_user_process = 1;
• 执行中的SQL：SELECT * FROM sys.dm_exec_requests;

分析数据库日志文件

数据库的错误日志、慢查询日志、二进制日志是访问行为的“历史记录仪”，适合追溯过去时段的操作。

日志类型	关键信息点	示例场景
错误日志	连接/断开时间、认证失败	定位异常登录尝试
慢查询日志	耗时超过阈值的SQL	优化性能瓶颈
二进制日志	数据变更操作（增删改）	审计数据修改行为

以 MySQL 为例，开启慢查询日志需配置 slow_query_log=ON 和 long_query_time=2（秒），之后可通过 mysqldumpslow 工具解析，提取高频执行的SQL。

利用网络流量与防火墙日志

数据库的网络通信是访问的直接证据,结合防火墙规则可精准识别合法/非法请求。

1. 抓包分析：使用 Wireshark 监听数据库端口（如 MySQL 默认3306），过滤 tcp.port == 3306，观察 TCP 握手、SQL 报文（如 COM_QUERY 包含 SELECT/INSERT 语句）。
2. 防火墙日志：检查 iptables、云服务商安全组等规则下的入站流量，匹配数据库端口的访问源 IP，AWS 安全组的“Flow Logs”可记录所有进出 EC2 实例的流量，筛选目标端口为3306的记录即可。

第三方监控工具辅助

专业数据库监控平台能自动化检测访问行为,降低人工成本：

• Prometheus + Grafana：通过 Exporter（如 mysqld_exporter）采集连接数、QPS 等指标，Grafana 可视化展示，设置阈值告警（如连接数突增）。
• Zabbix：配置 Item 监控数据库活跃连接数，触发器关联告警动作（邮件/短信通知）。
• 商业工具（如 Percona Monitoring and Management）：集成性能、安全审计功能，自动标记异常访问模式。

权限与配置核查

若怀疑未授权访问,需检查数据库权限和配置漏洞：

1. 用户权限审计：列出所有用户及权限（MySQL 用 SELECT User, Host, Privileges FROM mysql.user;），删除冗余账户（如默认 root@%）。
2. 网络暴露风险：确认数据库是否绑定公网 IP（生产环境建议仅内网访问），检查 SSH 隧道、VPN 等访问链路的加密性。

相关问答 FAQs

Q1：如何区分正常业务访问和异常扫描？
A：结合上下文判断——正常业务访问通常有固定频率、特定SQL模板（如订单查询）；异常扫描往往表现为短时间内大量无效请求（如遍历表名的 SHOW TABLES）、高频失败登录，可通过日志中“访问源IP+时间窗口”的组合特征识别。

Q2：数据库无活跃连接但数据被修改，怎么查？
A：优先检查二进制日志（Binlog），它记录了所有数据变更操作，用 mysqlbinlog 解析日志文件，定位修改时间点的 SQL 语句；若 Binlog 未开启，可借助事务日志（如 InnoDB 的 undo log）回溯数据变更轨迹，或通过数据库的审计插件（如 MySQL Enterprise Audit）追踪历史操作。

通过以上方法,既能实时捕捉数据库访问动态，也能追溯历史行为，全方位保障数据库安全与合规。